Las vulnerabilidades de seguridad en la Canonical Snap Store han alcanzado un nivel crítico, ya que los atacantes continúan distribuyendo software malicioso a través del popular repositorio de paquetes para Linux. Los estafadores están desplegando aplicaciones fraudulentas de carteras de criptomonedas que roban activos digitales de usuarios desprevenidos. La campaña implica tácticas sofisticadas diseñadas para evadir sistemas de detección y manipular señales de confianza que los usuarios […]

Las vulnerabilidades de seguridad en la Canonical Snap Store han alcanzado un nivel crítico, ya que los atacantes siguen distribuyendo software malicioso a través de este popular repositorio de paquetes para Linux.

Los estafadores están desplegando aplicaciones fraudulentas de carteras de criptomonedas que roban activos digitales de usuarios desprevenidos.

La campaña implica tácticas sofisticadas diseñadas para evadir sistemas de detección y manipular las señales de confianza en las que los usuarios confían al instalar software.

El ataque se dirige a entornos de escritorio y servidores donde los paquetes snap ofrecen métodos de instalación convenientes.

Los usuarios que descargan estos paquetes comprometidos creen que están instalando aplicaciones legítimas, solo para descubrir más tarde que sus carteras de criptomonedas han sido vaciadas.

La amenaza va más allá de los usuarios individuales y afecta a organizaciones que gestionan flotas de sistemas Linux, donde este tipo de malware podría comprometer la infraestructura de seguridad en múltiples máquinas.

Los atacantes han refinado su enfoque con el tiempo, pasando de engaños básicos a métodos cada vez más avanzados.

Su arsenal ahora incluye aplicaciones que imitan plataformas genuinas de criptomonedas como Exodus y Ledger Live.

Al iniciarse, estas aplicaciones falsas recopilan frases de recuperación de carteras de los usuarios, transmitiendo las credenciales a servidores criminales en tiempo real.

El analista de seguridad Alan Pope identificó este patrón de amenaza creciente tras investigar paquetes sospechosos dentro del ecosistema de la Snap Store.

Su investigación descubrió una campaña coordinada originada en regiones cercanas a Croacia, revelando la naturaleza sistemática de la infraestructura del ataque.

El mecanismo de secuestro de dominios

El desarrollo más alarmante implica que los atacantes monitorean la Snap Store en busca de cuentas de editores abandonadas.

Cuando los registros de dominio de editores legítimos de snap caducan, los criminales compran estos dominios vencidos y explotan el mecanismo de restablecimiento de contraseña para tomar el control de cuentas establecidas.

Esta técnica resulta devastadoramente efectiva porque las aplicaciones existentes conservan su historial de editor y las señales de confianza de los usuarios.

En lugar de crear cuentas nuevas que podrían enfrentar escrutinio, los atacantes envían actualizaciones maliciosas a aplicaciones previamente confiables. Los usuarios que instalan actualizaciones de snaps que descargaron hace años ahora enfrentan un peligro real.

El atacante simplemente necesita activar un restablecimiento de contraseña usando el dominio recién registrado, obteniendo acceso completo a la cuenta en cuestión de minutos.

Dos dominios comprometidos identificados incluyen storewise.tech y vagueentertainment.com, aunque los profesionales de seguridad sospechan que hay casos adicionales sin descubrir.

Esta escalada cambia fundamentalmente el panorama de amenazas. Antes, los usuarios ejercían precaución con aplicaciones recién publicadas por editores desconocidos.

Ahora, ese comportamiento protector ofrece una falsa sensación de seguridad. Una aplicación instalada hace tres años puede convertirse repentinamente en un mecanismo de entrega de malware que roba carteras cuando el dominio de su editor caduca y los atacantes toman posesión.

La integridad de la Snap Store depende de acciones inmediatas por parte de Canonical para implementar monitoreo de dominios, hacer cumplir la autenticación de dos factores y verificar los cambios de cuenta originados por editores inactivos.

Hasta que existan estas protecciones, los usuarios de Linux enfrentan un riesgo real al instalar aplicaciones de criptomonedas desde cualquier repositorio.